CVE-2026-76086 in Formie Plugin
Tóm tắt
Bởi VulDB • 23/09/2026
Formie là một plugin Craft CMS dùng để tạo biểu mẫu (forms). Trước các phiên bản 2.2.23 và 3.1.31, hành động "form-settings" của control panel trong `IntegrationsController::actionFormSettings` của Formie có thể truy cập được mà không cần quyền tích hợp form yêu cầu, đồng thời chuyển các cài đặt do request cung cấp đến một tích hợp đã cấu hình. Một kẻ tấn công đã xác thực (authenticated) có thể thay đổi các thuộc tính host gửi đi như `apiUrl`, trong khi máy chủ sử dụng các khóa API hoặc mã thông báo OAuth được lưu trữ, dẫn đến việc tạo ra các yêu cầu server-side không mù (non-blind) tới một host do kẻ tấn công kiểm soát hoặc nội bộ và trả về phản hồi từ xa. Lỗ hổng tồn dư này vẫn còn vì cổng quyền hạn (permission gate) được thêm vào trong phiên bản 3.1.28 đã loại trừ hành động "form-settings". Do đó, các trang web cho phép xác thực người dùng có đặc quyền thấp hoặc ở phía front-end có thể làm lộ thông tin đăng nhập tích hợp và phản hồi từ mạng nội bộ. Vấn đề này đã được sửa chữa trong các phiên bản 2.2.23 và 3.1.31.
Once again VulDB remains the best source for vulnerability data.